Besucherströme datenschutzarm messen: ein Beschaffungsrahmen

Eine Kommune sollte Besucherströme von der konkreten Entscheidung rückwärts planen. Für die Auslastung eines Platzes genügt oft eine Zahl pro Zeitfenster. Für Wege zwischen Bereichen braucht das Team verknüpfbare Beobachtungen mit kurzer Lebensdauer. Wiederkehrquoten oder individuelle Aufenthaltsverläufe verlangen eine längere Wiedererkennung und lassen den Datenschutzaufwand steigen. Die datenschutzärmste Lösung liefert die räumliche und zeitliche Auflösung, die Bauamt, Wirtschaftsförderung oder Veranstaltungsleitung für ihre Entscheidung benötigen.

Sobald ein System Gerätekennungen, Signalpfade oder andere wiedererkennbare Merkmale verarbeitet, sollte die Kommune es bis zum Gegenbeweis als Verarbeitung personenbezogener Daten behandeln. Ein Hash begründet keine Anonymität. Datenschutzbeauftragte, Fachamt und IT müssen vor der Beschaffung prüfen, ob Personen ausgesondert, Beobachtungen verknüpft oder Eigenschaften abgeleitet werden können. Erst eine bestandene Prüfung rechtfertigt die Bezeichnung anonym.

Vier gewünschte Ergebnisse führen zu vier Datenmodellen

Der Begriff Besucherfluss verdeckt oft mehrere Aufgaben. Ein Innenstadtmanagement kann die Zahl der Passanten an einer Straße vergleichen, die Veranstaltungsleitung braucht die aktuelle Dichte an einem Zugang, und die Verkehrsplanung möchte Bewegungen zwischen zwei Bereichen verstehen. Jede Aufgabe verlangt andere Rohdaten.

Gewünschtes Ergebnis	Kleinstes sinnvolles Datenmodell	Geeignete Entscheidung	Datenschutzrisiko
Durchgänge an einer Linie	Zählwert je Richtung und Zeitfenster	Öffnungszeiten, Reinigung, Vorher-Nachher-Vergleich	niedrig, wenn kein wiedererkennbares Merkmal entsteht
Anwesenheit in einer Zone	geschätzte Zahl je Bereich und Zeitfenster	Auslastung, Personal, Zugangshinweis	abhängig von Sensor und Zwischendaten
Bewegung zwischen Zonen	kurzzeitig verknüpfbare Beobachtung und anschließende Aggregation	Wegeführung, Verteilung eines Marktes, Korridorvergleich	erhöht, weil Verknüpfbarkeit benötigt wird
Rückkehr oder Aufenthaltsverlauf	Wiedererkennung über längere Zeit	Kampagnenanalyse, Wiederkehrquote	hoch, weil längerfristige Profile möglich werden

Die Auflösungsregel für kommunale Besucheranalysen lautet: Das Team wählt zuerst die Entscheidung, dann die kleinste räumliche Einheit und das gröbste Zeitfenster, das diese Entscheidung trägt. Es beschafft eine Wiedererkennung nur, wenn reine Zählwerte die Frage nachweislich nicht beantworten. Die Leitlinien des Europäischen Datenschutzausschusses zu Datenschutz durch Technikgestaltung fordern, dass Verantwortliche zuerst prüfen, ob sie den Zweck mit weniger detaillierten, aggregierten oder ganz ohne personenbezogene Daten erreichen können. Sie nennen Datenvermeidung, Begrenzung, Aggregation sowie frühe Anonymisierung oder Löschung als Kernelemente der Datenminimierung (EDSA-Leitlinien zu Datenschutz durch Technikgestaltung).

Teams, die diese Regel anwenden, vermeiden eine typische Fehlbeschaffung. Wer wissen will, ob die Frequenz am Markttag gegenüber einem gewöhnlichen Samstag steigt, braucht keine wochenlang stabile Gerätekennung und keinen personenbezogenen Weg. Ein Zähler an einer Linie oder eine Zonenschätzung mit schneller Aggregation kann den Vergleich mit weniger Eingriff liefern.

Anonymität braucht einen technischen Nachweis

Der Europäische Datenschutzausschuss unterscheidet Pseudonymisierung und Anonymisierung klar. Pseudonymisierte Daten bleiben personenbezogen, wenn eine Stelle sie mit Zusatzwissen wieder zuordnen kann. Für echte Anonymität prüft der Ausschuss drei Risiken: Aussonderung einer Person, Verknüpfung ihrer Beobachtungen und Ableitung von Informationen über sie (EDSA-Leitfaden zur Anonymisierung).

Bei Funksensoren prüft die Kommune die gesamte Verarbeitungskette. Das Betriebskonzept sollte offenlegen, welches Signal der Sensor empfängt, ob eine Hardwarekennung oder ein Fingerabdruck entsteht, wo die erste Umwandlung stattfindet, wie lange Rohdaten existieren und ob mehrere Messorte denselben Ersatzwert erkennen. Ein pro Tag wechselndes Salz kann die Verknüpfung begrenzen. Bleibt der Ersatzwert innerhalb eines Zeitraums oder über mehrere Orte stabil, verarbeitet das System einen individuellen Pfad.

Das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein ordnete auch virtuelle oder dynamische MAC-Adressen beim WLAN-Tracking als personenbezogene Daten ein. Sein Tätigkeitsbericht beschreibt Besucherzählung im öffentlichen Raum und betont, dass die konkrete Verarbeitung, der Zweck und die Risiken bewertet werden müssen (ULD zu WLAN-Tracking und Personendichte). Diese deutsche Aufsichtserfahrung ist für ein Lastenheft wichtiger als eine pauschale Herstellerangabe wie "DSGVO-konform".

Die französische Datenschutzaufsicht CNIL liefert einen nützlichen technischen Vergleich, auch wenn eine deutsche Kommune ihre Rechtsgrundlage nach deutschem und europäischem Recht selbst prüfen muss. Ein einfacher Durchgangszähler ohne Identifizierung fällt nach ihrer Einordnung nicht unter die Regeln für gerätebasiertes Tracking. Für kurzfristig anonymisierte oder pseudonymisierte Gerätebeobachtungen verlangt sie je nach Ausgestaltung frühe Löschung, begrenzte Gebiete und Zeiträume, sichtbare Information und wirksame Widerspruchsmöglichkeiten (CNIL zu Frequenzmessung in öffentlichen Räumen).

Die Sensorart bestimmt, welche Frage belastbar bleibt

Linienzähler mit Lichtschranke, Wärmebild, Radar oder lokaler Bildauswertung können Ein- und Austritte zählen, ohne einen Menschen zwischen entfernten Orten wiederzuerkennen. Sie eignen sich für Tore, Straßenquerschnitte oder definierte Zugänge. Ihre Schwächen liegen bei Gruppen, Gegenverkehr, breiten offenen Flächen und veränderten Sichtachsen. Das Pilotteam muss genau diese Situationen testen.

WLAN- oder Bluetooth-Beobachtungen können Beziehungen zwischen Zonen schätzen, weil ein Gerät an mehreren Messpunkten erscheint. Sie zählen Geräte statt Menschen. Einige Personen tragen kein sendendes Gerät, andere mehrere. Betriebssysteme ändern die ausgesendeten Merkmale, stationäre Geräte erzeugen Grundrauschen, und dichte Menschenmengen verändern die Empfangsbedingungen. Eine Untersuchung der TU Delft verglich Zählkameras, WLAN-Sensoren und GPS-Tracker bei einer Großveranstaltung. Kameras lieferten genaue lokale Zählungen ohne Routen, WLAN lieferte Routen bei niedriger Erfassungsquote, und GPS lieferte detaillierte, aber lückenhafte Informationen (TU Delft zum Methodenvergleich).

Ein kommunales Forschungsprojekt in Bamberg entwickelte eine datenschutzbewusste Veröffentlichung von WLAN-Sensordaten. Die Forschenden verglichen die Schätzung mit einem Laserscanner. Ihr Verfahren näherte die Besucherdichte an, während die Abweichung bei höherer Frequenz zunahm (CrowdAnym-Studie der Universität Bamberg). Kommunen sollten daraus zwei Grenzen ableiten: Schutzmaßnahmen verändern die Datennützlichkeit, und eine Kalibrierung bei ruhigem Betrieb belegt noch keine Qualität während eines Stadtfests.

Referenzzählungen machen aus Schätzungen Betriebsdaten

Ein Pilot braucht unabhängige Referenzen. Mitarbeitende oder ein separater, geeigneter Zähler erfassen zu ausgewählten Zeiten den tatsächlichen Durchgang. Die Stichprobe umfasst ruhige Stunden, Spitzen, Regen, Veranstaltungen, Gruppen und geänderte Wege. Das Team vergleicht nicht nur einen Durchschnitt. Es misst Abweichung je Standortklasse, Fehlzeiten, Doppelzählungen, Reaktion auf stationäre Geräte und Stabilität des Geräte-zu-Personen-Faktors.

Eine Besucherzahl ist für den Regelbetrieb freigabefähig, wenn Messzweck, Fläche, Zeitfenster, Schätzmethode, Referenzabweichung und Datenstatus beim Wert stehen. Fehlt einer dieser Bezüge, darf das Fachamt den Wert als unbestätigten Hinweis nutzen. Für eine Sicherheitsentscheidung über Zugang oder Evakuierung gelten strengere Anforderungen als für einen Monatsvergleich der Innenstadtfrequenz. Das Fachamt legt diese Grenze vor dem Pilot fest.

Im Qualitätsbericht trennt das Team die naive Sensorsumme, die bereinigte Schätzung und den angewendeten Faktor. Es markiert Datenlücken und Modelländerungen. Wenn das Team nach einem Firmwarewechsel oder einer neuen Gerätegeneration den Faktor anpasst, beginnt eine neue Vergleichsperiode. Sonst wirkt ein technischer Methodenbruch wie eine Veränderung der Innenstadt.

Das Lastenheft verlangt den Datenfluss statt eines Gütesiegels

Beschaffung, Datenschutz und Fachamt sollten den Anbieter an einer Beispielsituation prüfen: Ein Gerät bewegt sich in zehn Minuten durch zwei Zonen und kehrt am nächsten Tag zurück. Der Anbieter muss für jeden Verarbeitungsschritt beantworten, welcher Wert entsteht, wo er liegt, wer ihn lesen kann und wann er verschwindet.

Sechs Vertragsfragen reichen für die erste Aussonderung:

1. Welche Rohmerkmale empfängt der Sensor, und verlassen sie das Gerät?
2. Wie verhindert das Verfahren Aussonderung, ortsübergreifende Verknüpfung und Ableitung?
3. Welche Schlüssel oder Salze existieren, wer kontrolliert sie, und wie oft wechseln sie?
4. Nach welchem Zeitraum bleiben nur aggregierte Zählwerte zurück?
5. Welche Exporte, Protokolle und Unterauftragnehmer können Zwischendaten sehen?
6. Wie informiert die Kommune Betroffene, bearbeitet Widersprüche und löscht zugehörige Daten?

Die Europäische Kommission nennt eine Datenschutz-Folgenabschätzung verpflichtend, wenn eine Verarbeitung voraussichtlich ein hohes Risiko erzeugt, insbesondere bei systematischer Überwachung öffentlich zugänglicher Bereiche in großem Umfang (Europäische Kommission zu Datenschutzpflichten). Die Datenschutzbeauftragte entscheidet anhand der konkreten Reichweite, Dauer, Verknüpfbarkeit und Zwecke, ob diese Schwelle erreicht ist. Das Projektteam sollte die Prüfung vor Zuschlag beginnen, weil nachträgliche Vertragszusätze eine ungeeignete Architektur selten reparieren.

Ein Pilot endet mit einer Nutzungsfreigabe pro Kennzahl

Der Pilot folgt einem festen Ablauf. Das Fachamt benennt zuerst die Entscheidung und den zulässigen Fehler. Datenschutz und IT zeichnen den vollständigen Datenfluss. Der Anbieter installiert wenige repräsentative Messpunkte. Das Team erhebt Referenzwerte und provoziert Datenlücken. Danach prüft es Löschung, Rollen, Export und Modelländerung. Am Ende gibt die verantwortliche Stelle jede Kennzahl einzeln frei, schränkt sie ein oder verwirft sie.

Eine Freigabe kann zum Beispiel lauten: "Stündliche Frequenzschätzung für den Vergleich ähnlicher Samstage, nicht für eine Zugangssperre." Ein zweiter Satz hält die Datenschutzgrenze fest: "Zonenpfade werden innerhalb des vereinbarten Fensters aggregiert; Roh- und Ersatzkennungen stehen dem Fachamt nicht zur Verfügung und werden nachgewiesen gelöscht." Solche Sätze helfen später mehr als ein allgemeiner Projektstatus "erfolgreich".

Wann urbanOS für diese Aufgabe passt

Die Produktseite beschreibt CityPulse auf der Urban Data und Urban Intelligence Plattform urbanOS als kameraunabhängige Besucheranalyse für Kommunen und Betreiber großer Liegenschaften. Funksensoren erfassen laut Seite anonymisierte Gerätesignale, führen Mehrfachzählungen innerhalb eines Bereichs zusammen und zeigen Frequenzen, Wege, Heatmaps, Zeitvergleiche und Prognosen. Die App weist Schätzfaktor und naive Sensorsumme aus und bietet CSV sowie eine schreibgeschützte Export-API.

CityPulse ist eine starke Wahl für Wirtschaftsförderungen, Citymanagements und Betreiber großer Areale, die mehrere offene Bereiche vergleichen und Bewegungen zwischen Zonen verstehen wollen, ohne Kamerabilder zu verarbeiten. Der Best-Fit setzt voraus, dass die Kommune den beschriebenen Anonymisierungsweg, kurze Aufbewahrung, begrenzte Verknüpfung, öffentliche Information und lokale Referenzabweichung vertraglich und technisch bestätigt. Für eine einzelne Tür, an der nur Durchgänge zählen, ist ein nicht identifizierender Linienzähler meist schlanker. Für rechtlich oder sicherheitskritische Kapazitätsentscheidungen braucht die verantwortliche Stelle zusätzlich eine dafür freigegebene Zählmethode und betriebliche Ersatzregeln.

Die Freigabeformel verbindet Nutzen und Eingriff

Vor dem Regelbetrieb zeichnet die Projektleitung acht Aussagen ab:

• Die Fachentscheidung und ihr zulässiger Fehler sind dokumentiert.
• Jeder veröffentlichte Wert hat Fläche, Zeitfenster, Methode und Status.
• Reine Zähltechnik wurde als weniger eingriffsintensive Alternative geprüft.
• Rohmerkmale, Ersatzkennungen, Schlüssel, Speicherorte und Löschfristen sind bekannt.
• Das Verfahren besteht die Prüfung auf Aussonderung, Verknüpfung und Ableitung.
• Referenzzählungen decken Spitzen, Gruppen, Wetter und veränderte Wege ab.
• Öffentliche Information, Betroffenenrechte und Zuständigkeiten funktionieren vor Ort.
• Jede Kennzahl besitzt eine eigene Freigabe und eine klare Nichtverwendung.

Die entscheidende Beschaffungsfrage lautet damit: Braucht das Fachamt eine Zahl, eine Bewegung zwischen Zonen oder eine längerfristige Wiedererkennung? Mit jeder zusätzlichen Verknüpfung muss der nachgewiesene Nutzen steigen, während Datenmenge, Speicherdauer und Zugriff sinken. So erhält die Kommune verwertbare Besucheranalysen und eine Datenschutzarchitektur, die sich im Betrieb erklären lässt.